CVE-2024-48914

위험게시됨

Vendure 자산 서버 플러그인에 AssetServerPlugin 및 LocalAssetStorageStrategy와 관련된 로컬 파일 읽기 취약점이 존재합니다.

게시됨: 2024. 10. 15.
업데이트됨: 2024. 10. 15.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 8. 5.

기본 CVSS

9.1/ 10위험

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

EPSS 확률 추정

60.4%

높음 · 다음 30일

백분위수: 99.1%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

Vendure는 오픈소스 헤드리스 커머스 플랫폼입니다. 버전 3.0.5 및 2.3.3 이전 버전에서 Vendure의 에셋 서버 플러그인에 취약점이 존재하여, 공격자가 서버 파일 시스템을 탐색하고 구성 파일, 환경 변수 및 서버에 저장된 기타 중요 데이터를 포함한 임의 파일의 내용을 검색할 수 있는 요청을 제작할 수 있습니다. 동일한 코드 경로에는 잘못된 형식의 URI를 통해 서버를 충돌시킬 수 있는 추가적인 벡터도 존재합니다. 패치는 버전 3.0.5 및 2.3.3에서 제공됩니다. 일부 우회 방법도 사용할 수 있습니다. 로컬 파일 시스템 대신 객체 스토리지(예: MinIO 또는 S3)를 사용하거나, `/../`가 포함된 URL을 감지하여 차단하는 미들웨어를 정의할 수 있습니다.

소스

CVE-2024-48914익스플로잇
vendure-ecommerce 익스플로잇의 임의 파일 읽기 및 DoS

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.